王 洋

一、背景

美国海岸警卫队（USCG）于2020年10月27日发布了《船舶网络风险管理工作须知》，明确了自2021年1月1日起，在港口国监督（PSC） 检查中关注网络风险管理问题。该须知强调：港口国监督官员（PSCO）在检查中若发现网络风险管理未被纳入SMS或虽被纳入但却严重违反体系文件规定，则可开出代码为30的缺陷并滞留船舶。中国船级社（CCS）也于2020年发布技术通告——《（2020年）技术通告第68号总第502 号》，要求各公司高度重视国际海事组织MSC.428（98）号决议的落实工作，尽快将网络风险管理的内容纳入公司安全管理体系，并监督其在公司和船舶得到有效实施。

事实上，网络安全威胁已成为航运公司面临的关键风险点。据公开报道，2017年6月，航运巨头马士基因受到勒索病毒攻击，损失了2亿~3亿美元。2017年6月，国际海事组织在MSC96届大会上通过并发布了《海事网络风险管理暂行指南》（MSC.1/Circ.1526通函），提出了对网络风险的应对措施。同年7月，CCS发布《船舶网络系统要求及安全评估指南》，进一步规范了船舶网络建设工作，并对船舶网络安全实施了有效评估；2019年又发布了《海事网络风险评估与管理体系指南》（已于2020年2月1日生效）。IACS、BIMCO等组织也先后发布了相关指南。随着USCG本次通知的发布，将网络风险管理纳入PSC检查内容终于正式落地。相信在一段时间内，各国均会跟进此项工作。

根据CCS的《海事网络风险评估与管理体系指南》，建立海事网络安全体系分为三个阶段，分别为风险评估、体系建立和体系运行，如表1所示。风险评估依赖于基于海事网络调研的风险识别，识别网络中的风险点，有针对性地做出相应的改进措施并将其制度化，是体系建立的必由之路。……